동일한 심각도 점수를 가진 두 취약점이 있다. A는 인터넷에 노출된 인증 서버에서 실제 악용 흔적이 있고, B는 격리된 시험 장비의 비활성 기능에 존재한다. 우선 조치 판단으로 옳은 것은?

1. 1

   시험 장비는 패치 검증이 쉬우므로 악용 여부와 관계없이 B를 먼저 조치한다.

2. 2

   기본 심각도 점수가 같으므로 자산 설치 시점만 비교해 오래된 장비를 먼저 조치한다.

3. 3

   B의 기능이 비활성화되어 있으므로 이후 활성화 여부와 무관하게 취약점 추적을 종료한다.

4. 4

   노출도·악용 가능성·자산 중요도를 반영해 A를 우선하되 B도 추적 관리한다.